《操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)器管理》課件-項目9 活動目錄域

項目9活動目錄域9.1項目描述某快速發(fā)展的公司,為了提高公司局域網(wǎng)的安全性和可擴展性,決定將所有的計算機放在一個域內(nèi),從原本的工作組環(huán)境提升為域環(huán)境,域名為。其中選定一臺系統(tǒng)為WindowsServer2008的服務(wù)器安裝活動目錄ActiveDirectory,作為域控制器。將其他的計算機和服務(wù)器加入域中,并為每個員工都建立一個域用戶賬戶,允許他們訪問域中的資源。在域中創(chuàng)建域組,對域中的用戶賬戶進行分組管理。項目9活動目錄域9.2項目分析公司的員工要訪問每臺服務(wù)器,則管理員需要在每臺服務(wù)器上分別為每個員工建立一個賬戶,用戶則需要在每臺服務(wù)器中(共M臺)登錄。若服務(wù)器和用戶的計算機都在同一個域中,用戶在域中只需要擁有一個賬號,用該賬戶登錄后即取得一個身份,便可訪問域中任一臺服務(wù)器上的資源。每臺存放資源的服務(wù)器并不需要為每位用戶創(chuàng)建賬戶,而只需要把資源的訪問權(quán)限分配給用戶在域中的賬戶即可。因此用戶只需要在域中擁有一域賬戶,只需要在域中登錄一次即可訪問域中的資源。項目9活動目錄域

9.3知識準備9.3.1不同網(wǎng)絡(luò)環(huán)境的比較9.3.2活動目錄概述9.3.1不同網(wǎng)絡(luò)環(huán)境的比較

1.工作環(huán)境的特點1)無需運行WindowsServer的計算機來容納集中的安全性信息。2)相對于域環(huán)境而言,設(shè)計和實現(xiàn)簡單,無需廣泛的計劃和管理。3)對于計算機數(shù)量較少(<10)或更小數(shù)量計算機的網(wǎng)絡(luò)來說,工作組管理更方便。4)工作組較適合由技術(shù)用戶組成的無需進行集中管理的小組。2.域環(huán)境特點1)讓大量的用戶信息集中式的存儲,所以域提供了集中的管理。2)只要用戶有對資源訪問的適當權(quán)限,就能從域中任意一臺計算機登錄,并能訪問域中的資源。3)每個域僅存儲該域中各對象的有關(guān)信息,通過這樣區(qū)分目錄,活動目錄可將規(guī)模擴展到更多的對象。9.3.2活動目錄概述1.目錄服務(wù)和活動目錄2.活動目錄和DNS3.域4.組織單元5.域樹6.域林1.目錄服務(wù)和活動目錄目錄是一個數(shù)據(jù)庫沒存儲了網(wǎng)絡(luò)資源相關(guān)信息,包括資源的位置、管理等。目錄服務(wù)器是一種網(wǎng)絡(luò)服務(wù),用來標記管理一個較為復(fù)雜的網(wǎng)絡(luò)環(huán)境中的所有實體資源(如計算機、用戶、打印機、文件、應(yīng)用等)?；顒幽夸?ActiveDirectory)就是源于“目錄服務(wù)”的概念,域環(huán)境中,域中的用戶信息(如用戶名、密碼等)存放在域控制器(DomainController,DC)的活動目錄數(shù)據(jù)庫中?；顒幽夸泴嶋H上就是一個特殊的數(shù)據(jù)庫,不過該數(shù)據(jù)庫和以往大家接觸到的SQLServer等關(guān)系型數(shù)據(jù)庫有很大的差別。一臺域中的服務(wù)器如果安裝了活動目錄服務(wù),則它就成為了域控制器;反之,域控制器就是安裝了活動目錄的服務(wù)器。2.活動目錄和DNS在TCP/IP網(wǎng)絡(luò)中,DNS用于解決計算機名字和IP地址的映射關(guān)系。WindowsServer2008的活動目錄和DNS密不可分,它使用DNS服務(wù)器來登記域控制器的IP地址、各種資源的定位,因此在一個域林中至少要有一個DNS服務(wù)器存在。WindowsServer2008中的域也采用DNS的格式來命名的。3.域圖9-1展示了一個活動目錄的邏輯結(jié)構(gòu),其中以三角形表示域。域是Windows網(wǎng)絡(luò)系統(tǒng)的邏輯組織單元,也是Internet的邏輯組織單元。圖9-1活動目錄的邏輯結(jié)構(gòu)域是安全的邊界、復(fù)制的邊界。例如,每個域中的管理員(除林根域的管理員)只能管理域的內(nèi)部。每個域都有自己獨立的安全策略,以及他與其他域的安全信任關(guān)系。另外,同一個域內(nèi)的域控制器之間會自動進行完全的同步。4.組織單元在圖9-1中以圓圈表示組織單元,用來組織和管理域中的對象,是可以指派組策略設(shè)置或委派管理權(quán)限的最小作用域或單位。如圖9-2所示,組織單元(OU)可以包含各種對象,如用戶賬戶(Admin)、用戶組賬戶(Users)、共享文件夾(Files)、打印機(Printers),甚至包括其他組織單元。對于一個企業(yè),可以按行政部門把所有的用戶和設(shè)備組成一個組織單元層次結(jié)構(gòu),有時也可以按地理位置形成層次結(jié)構(gòu)。圖9-2組織單元的對象5.域樹在一個企業(yè)中可能會有分布在全世界的分公司等,分公司下又有各種部門,企業(yè)可能會有上萬用戶、上千臺服務(wù)器及上百個域,資源的訪問常?？赡苄枰邕^很多域。從WindowsServer2000起,域樹開始出現(xiàn),域樹由一個或更多個域以樹狀結(jié)構(gòu)組織在一起。創(chuàng)建的第一個域稱為樹的根域,如圖9-3所示,根域處于樹的最頂層,其名字也代表了樹的名字。各個域之間的連線表示信任關(guān)系。圖9-3域樹和信任關(guān)系根域下有兩個子域和。在子域下又有自己的子域。在域樹中,信任關(guān)系是可傳遞的。父域和子域的信任關(guān)系是雙向可傳遞的,因此域樹中的一個域默認信任域樹中的所有的域。這意味著樹中所有域或?qū)ο蠖伎梢怨渲衅渌蛩褂?也可以在樹或森林中的任何域之間進行用戶或計算機(除域控制器外)的身份驗證。6.域林在WindowsServer2000以后的操作系統(tǒng)中,域和DNS域的關(guān)系非常密切,因為域中計算機使用DNS來定位域控制器和服務(wù)器以及其他計算機、網(wǎng)絡(luò)服務(wù)等,實際上域的名字就是DNS域的名字。在圖9-4中,中的某用戶希望不通過身份驗證直接登錄域中的計算機,但由于林和林是兩個名稱空間上的森林。因此,必須手工地在這兩個森林之間建立一條信任關(guān)系,構(gòu)成域林與域林間的信任關(guān)系。圖9-4域林和信任關(guān)系9.4項目實施——活動目錄的部署9.4.1安裝ActiveDirectory的前期準備工作9.4.2安裝ActiveDirectory域服務(wù)9.4.3驗證ActiveDirectory域服務(wù)的安裝9.4.1安裝ActiveDirectory的前期準備工作使用WindowsServer2008服務(wù)器來創(chuàng)建活動目錄域,必須實現(xiàn)考察是否符合以下條件。1)一臺運行WindowsServer2008的計算機(安裝服務(wù)器端的操作系統(tǒng))。2)確保磁盤的可用空間能容納活動目錄數(shù)據(jù)庫、SYSVOL和日志文件?？紤]到數(shù)據(jù)量的增長,建議預(yù)留夠大的空間,并且SYSVOL文件夾必須存放在NTFS分區(qū)?？梢岳孟旅娴拿顚⒁粋€現(xiàn)有的FAT/FAT32磁盤分區(qū)轉(zhuǎn)換為NTFS磁盤分區(qū):convert<盤符>:/FS:NTFS3)建立域的管理員權(quán)限,即這臺WindowsServer2008計算機的本地administrator賬戶(在安裝完域控制器后,工作組中的administrator賬號將自動提升為域中的administrator賬號)。4)正確設(shè)置TCP/IP協(xié)議,手工設(shè)置IP地址、子網(wǎng)掩碼、默認網(wǎng)關(guān)和DNS服務(wù)器IP地址等。5)在添加ADDS(活動目錄域服務(wù))來創(chuàng)建域或林之前,應(yīng)確定需要使用的域名。在安裝ADDS時,如果需要的話,可選擇安裝DNS服務(wù)器。當建立新域時,DNS授權(quán)在安裝過程中被自動建立。在當前網(wǎng)絡(luò)中沒有一臺權(quán)威DNS服務(wù)器(應(yīng)支持SRV資源記錄)的情況下,最好將“首選DNS服務(wù)器”的IP地址指向自己。【項目操作】建立網(wǎng)絡(luò)中的第一臺域控制器。計算機名為Server1,IP地址為/24,首選DNS服務(wù)器指向自己。即將在這臺計算機上完成活動目錄的部署,安裝新林,建立新域,域名為。并在建域過程中在這臺計算機上安裝DNS服務(wù)。1.選擇“開始”→“運行”選項,輸入命令“dcpromo”。此時系統(tǒng)會自動檢測是否安裝活動目錄域服務(wù)二進制文件,如果沒有安裝,將自動安裝。9.4.2安裝ActiveDirectory域服務(wù)圖9-5

ActiveDirectory域服務(wù)安裝向?qū)г谌鐖D9-5所示的“ActiveDirectory域服務(wù)安裝向?qū)А表撝?如果選中“使用高級模式安裝”復(fù)選框,則會提供更多的安裝選項(如域NETBIOS名的更改、從媒體介質(zhì)安裝等)。此處不選中,單擊“下一步”按鈕,在“操作系統(tǒng)兼容性”頁,單擊“下一步”按鈕繼續(xù)。2.如圖9-6所示,在“選擇某一部署配置”頁,可以在現(xiàn)有林中創(chuàng)建一臺域控制器,也可以建立一個新的域目錄林。由于這是林中第一臺域控制器,所以選擇“在新林中新建域”,然后單擊“下一步”按鈕。圖5-14查看地址租用在此時如果本地Administrator賬戶密碼不符合復(fù)雜性要求,可能導(dǎo)致安裝問題。在安裝活動目錄時向?qū)棾鲆粋€錯誤提示框:“新建域時,本地Administrator賬戶將稱為域管理員賬戶,無法新建域,因為本地Administrator賬戶密碼不符合要求?！薄４藭r可以按<Ctrl+Alt+Del>組合鍵,或使用“本地用戶和組”管理工具,也可以使用以下命令為本地Administrator賬戶重新設(shè)置符合復(fù)雜性要求的密碼,之后新建域。

netuseradministratorP@ssw0rd(符合復(fù)雜性要求的密碼)3.如圖9-7所示,在“命名林根域”頁,在“目錄林根級域的FQDN”文本框中輸入新的林根級完整的域名系統(tǒng)名稱為“”。點擊“下一步”等待系統(tǒng)檢測該林根域名是否有沖突。圖9-7鍵入林根域的FQDN4.在新域/林的安裝過程中,必須設(shè)定域/林的功能級別,這與其中域控制器所安裝的操作系統(tǒng)版本有關(guān),不同的功能級別所提供的功能也不用。要注意,功能級別的提升是單向的。例如,選擇2008的林功能級別,就不能再降為2003或是2000的林功能級別。如圖9-8所示,在“設(shè)置林功能級別”對話框,林功能有Windows2000、Windows2003、Windows20083個級別,默認林功能級別為“Windows2000”,域功能級別為“Windows2000純模式”。在DC安裝完成后還可以提升至更高的功能級別。單擊“下一步”按鈕。圖9-8分別設(shè)置林和域的功能級別5.如圖9-9所示,在“其他域控制器選項”頁,選擇“DNS服務(wù)器”將該計算機配置為DNS服務(wù)器。圖9-9“其他域控制器選項”對話框6.單擊“下一步”按鈕,彈出如圖9-10所示的對話框,該信息表示因為無法找到有權(quán)威的父區(qū)域或者未運行DNS服務(wù)器,所以無法創(chuàng)建該DNS服務(wù)器的委派。圖9-10無法創(chuàng)建該DNS服務(wù)器的委派7.單擊“是”按鈕,彈出如圖9-11所示“數(shù)據(jù)庫、日志文件和SYSVOL的位置”對話框中指定將包含這些文件所在的卷及文件夾的存儲位置。這里保持默認值,單擊“下一步”按鈕。圖9-11指定有關(guān)文件夾在域控制器上的位置8.如圖9-12所示,在“目錄服務(wù)還原模式的Administrator密碼”頁,輸入還原模式的密碼。此密碼用于在目錄服務(wù)還原模式下啟動此域控制器的情況。單擊“下一步”按鈕。圖9-12設(shè)置目錄服務(wù)還原模式的管理員密碼9.如圖9-13所示的“摘要”對話框,對話框給出前面所有設(shè)置的摘要信息。用戶可以在這里進行檢查。也可以單擊“導(dǎo)出設(shè)置”按鈕,將這些設(shè)置保存到一個應(yīng)答文件,以便在后續(xù)操作中能夠?qū)崿F(xiàn)ADDS的無人值守安裝。這里直接單擊“下一步”按鈕,立即進入安裝階段。圖9-13“摘要”對話框10.在如圖9-14所示,開始安裝DNS和ActiveDirectory域服務(wù),也可勾選“完成后重新啟動”選項卡。此處不勾選。圖9-14正在安裝DNS和ActiveDirectory域服務(wù)11.安裝完后會彈出如圖9-15所示“完成ActiveDirectory域服務(wù)安裝向?qū)А睂υ捒?表示ActiveDirectory域服務(wù)安裝成功。圖9-15“完成ActiveDirectory域服務(wù)安裝向?qū)А睂υ捒?2.單擊“完成”按鈕,即可安裝完成,這是系統(tǒng)會提示重新啟動計算機,重啟后所進行的安裝和設(shè)置才會在計算機中生效,如圖9-16所示。圖9-16是否重啟計算機提示框13.單擊“立即重新啟動”按鈕,重新啟動計算機后會出現(xiàn)如圖9-17所示的界面,此時登錄界面將顯示“CONTOSO\Administrator”的登錄提示,只需輸入域管理員的密碼即可登錄到域控制器上。圖9-17輸入域管理員密碼登錄到域控制器9.4.3

驗證ActiveDirectory域服務(wù)的安裝【項目操作】要驗證ActiveDirectory域服務(wù)是否正確安裝,可以查看新增管理工具、查看域控制器的計算機名、查看DNS服務(wù)器。1.查看新增管理工具在域控制器上選擇“開始”→“管理工具”選項,如圖9-18所示,可以看到已經(jīng)新增了6個和DNS以及ActiveDirectory域服務(wù)相關(guān)的工具。圖9-18管理工具2.查看域控制器的計算機名在域控制器上選擇“開始”→“計算機”→“屬性”,打開“系統(tǒng)”控制臺,單擊該控制臺中的“改變設(shè)置”,彈出如圖9-19所示的“系統(tǒng)屬性”對話框,可以看到在“計算機名”選項卡中,當前計算機已經(jīng)在域“”中了。圖9-19“系統(tǒng)屬性”對話框3.查看DNS服務(wù)器在域控制器上選擇“開始”→“管理工具”→“DNS”選項,打開如圖9-20所示的“DNS管理器”控制臺,從中可以看到當前計算機已經(jīng)被配置為DNS服務(wù)器,并且已經(jīng)在區(qū)域“”中。圖9-20“DNS管理器”控制臺9.5項目實施——DHCP數(shù)據(jù)庫的管理9.5.1將客戶端計算機加入域中9.5.2將客戶端計算機退出域【項目操作】將客戶端“client001”加入到域“”環(huán)境中,具體步驟如下。1)以本地管理員賬戶登錄到需要加入到域中的客戶端計算機上,在彈出的“Internet協(xié)議本本4(TCP/IPv4)屬性”對話框中,將該計算機的“首選DNS服務(wù)器”指向域的DNS服務(wù)器,如圖9-21所示。9.5.1將客戶端計算機加入域中圖9-21設(shè)置首選DNS服務(wù)器2)選擇“開始”→“計算機”→“屬性”,打開“系統(tǒng)”控制臺,單擊該控制臺中的“更改設(shè)置”,彈出“系統(tǒng)屬性”對話框,如圖9-22所示,可以看到當前計算機主機名為“client001”,在工作組“WORKGROUP”環(huán)境中。圖9-22查看計算機狀態(tài)3)單擊“更改”按鈕,彈出“計算機名/域更改”對話框,如圖9-23所示。圖9-23“計算機名/域更改”對話框4)在“隸屬于”選項區(qū)域中,點選“域”單選按鈕,并輸入要加入的域的名稱“”5)單擊“確定”按鈕,彈出“Windows安全”對話框,輸入要加入的域的管理員賬戶和密碼,如圖9-24所示。圖9-24“Windows安全”對話框6)單擊“確定”按鈕,經(jīng)過域控制器身份驗證用戶賬戶信息后,彈出如圖9-25所示對話框,該信息表示計算機已經(jīng)成功加入到域中。圖9-25歡迎加入域7)單擊“確定”按鈕,彈出如圖9-26所示對話框,單擊“確定”按鈕重新啟動計算機即可。圖9-26重新啟動計算機8)重新啟動計算機后,出現(xiàn)如圖9-27的登錄界面,此時即可登錄到工作組,也可以登錄到的域,在此輸入域用戶賬戶信息即可登錄到域中圖9-27以域管理員賬戶登錄到客戶端9)登錄到客戶端計算機后,打開“系統(tǒng)屬性”對話框,如圖9-28所示,當前計算機已經(jīng)加入到域“”中。圖9-28計算機屬于域環(huán)境10)以域管理員賬戶登錄到域控制器上,打開“ActiveDirectory用戶和計算機”控制臺,展開域“”,單擊“Computers”節(jié)點,在該控制臺右側(cè)界面中顯示已經(jīng)加入到域中的客戶端計算機Client001,如圖9-29所示。圖9-29“ActiveDirectory用戶和計算機”控制臺9.5.2將客戶端計算機退出域【項目操作】將客戶端計算從域環(huán)境中退出,具體操作步驟如下。1)以本地管理員賬戶或域管理員賬戶登錄到已經(jīng)加入到域的客戶端計算機上,打開“系統(tǒng)屬性”對話框,單擊“計算機名”選項卡。2)單擊“更改”按鈕,彈出“計算機名/域更改”對話框,在“隸屬于”選項區(qū)域中點選“工作組”單選框,并設(shè)置要加入的工作組名為“WORKGROUP”,如圖9-30所示。圖9-30將計算機加入工作組3)單擊“確定”按鈕,彈出如圖9-31所示對話框,該信息表示計算機已經(jīng)成功退出域“”,并加入到工作組“WORKGROUP”中。圖9-31歡迎加入工作組4)單擊“確定”按鈕,彈出如圖9-32所示對話框,只需在該界面中單擊“確定”按鈕重新啟動計算機即可完成將計算機退出域的操作。圖9-32重新啟動計算機9.6項目實施——刪除ActiveDirectory域服務(wù)如果已經(jīng)有多個域控制器或者不需要使用WindowsServer2008作為域控制器,可以將相應(yīng)的域控制器降級為成員服務(wù)器或者獨立服務(wù)器。降級后的WindowsServer2008中將不再保存用戶和組的信息,用戶不可能用恢復(fù)的方法使該服務(wù)器成為域控制器。因此在降級之前應(yīng)慎重考慮。但如果網(wǎng)絡(luò)中只有一個域控制器,降級后則成為獨立服務(wù)器。【項目操作】將域控制器“Server1”上的ActiveDirectory域服務(wù)刪除,具體步驟如下:1)以域管理員賬戶登錄到域控制器上,選擇“開始”→“運行”選項,輸入命令“dcpromo”命令,然后單擊“確定”按鈕,彈出“ActiveDirectory域服務(wù)安裝向?qū)А睂υ捒?如圖9-33所示,通過該向?qū)h除當前計算機上的ActiveDirectory域服務(wù)。圖9-33“ActiveDirectory域服務(wù)安裝向?qū)А睂υ捒?)單擊“下一步”按鈕,彈出如圖9-34所示對話框,該信息表示當前域控制器是全局編錄服務(wù)器,在刪除此計算機上的ActiveDirectory域服務(wù)之前,應(yīng)確保此域的用戶可以訪問其他全局編錄服務(wù)器。圖9-34當前域控制器是全局編錄服務(wù)器3)單擊“確定”按鈕,彈出“刪除域”對話框,如果該計算機是域中的最后一個域控制器,則勾選“刪除該域,因為此服務(wù)器是該域中的最后一個域控制器”復(fù)選框,如圖9-35所示。圖9-35“刪除域”對話框4)單擊“下一步”按鈕,彈出“應(yīng)用程序目錄分區(qū)”對話框,如圖9-36所示,在該對話框中顯示域控制器上保留的應(yīng)用程序分區(qū)信息。圖9-36“應(yīng)用程序目錄分區(qū)”對話框5)單擊“下一步”按鈕,在彈出的“確認刪除”對話框中勾選“刪除這個域控制器上的所有應(yīng)用程序目錄分區(qū)”復(fù)選框,如圖9-37所示。圖9-37“確認刪除”對話框6)單擊“下一步”按鈕,開始檢查是否需要刪除DNS委派,如圖9-38所示。圖9-38檢查是否需要刪除DNS委派7)檢查完畢,彈出“Administrator密碼”對話框,在該對話框中輸入卸載“ActiveDirectory域服務(wù)”后登錄系統(tǒng)時所用的系統(tǒng)管理員(Administrator)密碼,如圖9-39所示。輸入后請務(wù)必記住。圖9-39“Administrator密碼”對話框8)單擊“下一步”按鈕,彈出如圖9-40所示的“摘要”對話框。根據(jù)摘要提示,這是最后一個域控制器,刪除活動目錄后,該域控制器將降級為獨立服務(wù)器。但需要注意的是如果該域有子域,則不能將它刪除。圖9-40“摘要”對話框9)單擊“下一步”按鈕,系統(tǒng)開始降級目錄服務(wù),刪除ActiveDirectory,如圖9-41所示,整個過程需要幾分鐘時間。圖9-41正在刪除ActiveDirectory域服務(wù)10)刪除ActiveDirectory后系統(tǒng)將彈出“完成ActiveDirectory安裝向?qū)А睂υ捒?如圖9-42所示。圖9-42“完成ActiveDirectory安裝向?qū)А睂υ捒?1)單擊“完成”按鈕,如圖9-43所示,向?qū)崾疽笾匦聠佑嬎銠C,重啟計算機后,所有的設(shè)置生效,該服務(wù)器將降級為獨立服務(wù)器。圖9-43向?qū)崾局貑⒂嬎銠C9.7

WindowsServer2008活動目錄的新特性微軟在發(fā)布系統(tǒng)的每個版本中都會對活動目錄的特性做出若干改進,根據(jù)客戶的反饋和應(yīng)用需求來增加一些重要的功能以便企業(yè)使用。在WindowsServer2008中,以核心服務(wù)ADDS作為其他所有活動目錄服務(wù)的基礎(chǔ)。ADDS做出了如下的改進。1.審核活動目錄的變更以前,進行活動目錄的審計是一件非常繁瑣的事情:激活僅有的一個全局策略“目錄服務(wù)訪問”,將審核與活動目錄有關(guān)的大量的事情,難以分辨和使用。對此,WindowsServer2008所做的調(diào)整是將此主策略分為4項子策略:目錄服務(wù)訪問、目錄服務(wù)變更、目錄服務(wù)復(fù)制、詳細的目錄服務(wù)復(fù)制。這樣不但有效地分流了事件日志,而且還能精確記錄誰做出修改、修改何時發(fā)生、修改了哪些對象與屬性,以及修改前后的值,大大增強了日志的可讀性。用戶可以通過激活主策略來激活全部4